сколько на самом деле
инцидент на самом деле обходится.
На основе наших внутренних данных о реагировании на инциденты и проверенных публичных отчетов за 2024–2025 годы — в различных отраслях и регионах.
прежде чем паниковать,
оцените масштаб проблемы.
Ответьте на четыре вопроса. Мы рассчитаем оценку серьезности ситуации в режиме реального времени и определим первые четыре действия, которые ваша команда должна предпринять прямо сейчас — прежде чем кто-нибудь в гневе начнет нажимать на клавиши.
▸ Первые четыре действия
- Изолируйте затронутые хосты от сети — не выключайте их.
- Сохраните теневые копии памяти и томов как минимум на одном хосте.
- Аннулируйте учетные данные, использовавшиеся в течение последних 72 часов; произведите ротацию служебных учетных записей.
- Установите канал связи с PWN•ALL, прежде чем прикасаться к резервным копиям.
четыре этапа.
один мост.
Мы обрабатываем каждый инцидент на едином, прошедшем аудит мосте реагирования — ваша команда, наши аналитики DFIR, общая временная шкала и подтверждения на каждом этапе.
Сдерживание
Изоляция на уровне сети без уничтожения доказательств. Мы останавливаем латеральное перемещение на коммутаторе, блокируем C2, замораживаем привилегированные учетные записи и сохраняем память на хостах-посредниках.
Объем
Криминалистическая сортировка всех зашифрованных ресурсов, векторов первоначального доступа, следов персистентности и эксфильтрации. Мы определяем штамм, TTP оператора и время пребывания.
Восстановление
Восстановление в «чистой» среде, проверка целостности резервных копий, сопоставление дешифратора с нашей внутренней библиотекой и — при наличии ключей — поэтапное дешифрование производственных данных.
Укрепление
Устранение первопричин, очистка идентификационных данных, внедрение EDR/MFA там, где их нет, и подготовка письменного отчета, который смогут прочитать ваш совет директоров, страховщик и регулирующий орган.
У каждого штамма есть
слабое место. Мы его находим.
Наша библиотека исследований дешифраторов и информация о переговорах обновляются на основе реальных дел, которые мы закрываем каждую неделю. Если есть способ восстановить данные без оплаты, мы найдем его первыми.
LockBit • BlackCat • Play
- Контроллер домена и настройка Veeam
- Стирание теневой копии через vssadmin/WMI
- Поэтапная экфильтрация через MEGA/Rclone
- Восстановление частичного ключа, где это применимо
Akira • Royal • Rhysida
- Остановка и шифрование ESXi на уровне VMFS
- Программа-вымогатель для ELF в Linux на устройствах
- Восстановление томов на уровне хранилища данных
- Аудит целостности на стороне гипервизора
Cl0p • Karakurt • RansomHub
- Чистая кража данных, без шифрования
- Мониторинг и закрытие сайтов, на которых произошла утечка
- Координация раскрытия информации в соответствии с законодательством
- Управление коммуникациями операторов осуществляется нами
аналитик уже
следит за временем.
Как только вы позвоните, запускается общий мост с действиями с отметками времени, хранением доказательств и панелью серьезности инцидента в режиме реального времени. Ваша страховая компания и юридическая команда могут присоединиться в режиме «только для чтения».
Никаких тайн. Никакого молчания.
Каждый инцидент PWN-ALL проходит по тому же шаблону моста, который уже принят вашими регулирующими органами и киберстраховщиком. Вы видите то же, что и мы. Вы утверждаете каждое разрушительное действие. Ничто не шифруется, не удаляется и не оплачивается без вашего одобрения.
После локализации вы уходите с отчетом о цепочке хранения, временной шкалой, сопоставленной с MITRE ATT&CK, и планом укрепления безопасности на 30/60/90 дней — а не с PDF-файлом, заполненным скриншотами.
вопросы
, которые люди задают в 3 часа ночи.
Стоит ли платить выкуп?
Почти никогда это не является правильным первым шагом. Мы ведем переговоры только в качестве крайней меры, пока оцениваются варианты восстановления, и только с разрешения юристов и санкционного комитета. Примерно в 94% наших случаев полное или частичное восстановление возможно без оплаты.
Как быстро вы можете подключиться к мосту?
Наше SLA предусматривает, что с момента первого звонка до подключения аналитика к совместной конференции с вашей командой пройдет менее 60 минут. Рекомендации по локализации угрозы обычно начинают поступать в течение первых 15 минут, в то время как параллельно проводится оценка масштаба инцидента.
Мы уже выключили все. Это плохо?
Это не идеально — в оперативной памяти хранятся ключи, внедренные процессы и следы оператора — но ситуацию можно исправить. Не запускайте ничего, пока мы не подключимся. У нас есть процедуры для «холодного» сортирования.
Вы работаете с нашей киберстраховой компанией?
Да. PWN-ALL организован так, чтобы подключаться к стандартным панелям IR. Мы предоставляем страховщику действия с отметками времени, контроль затрат и итоговый отчет в формате, который принимают большинство страховщиков.
Что делать, если данные были не только зашифрованы, но и похищены?
Мы отдельно оцениваем масштаб утечки: что было похищено, откуда и на какой срок. Затем мы координируем раскрытие информации, юридические вопросы и — при необходимости — мониторинг сайтов, с которых произошла утечка, а также коммуникацию с операторами.
не ждите
понедельника утром.
С каждым часом задержки резервные копии стираются, доказательства теряют силу, а злоумышленники уходят все глубже. PWN-ALL отвечает в рабочие дни, выходные и праздники — время не имеет значения, и для нас тоже.
50% атак по-прежнему заканчиваются шифрованием. Не ждите, чтобы узнать, к какой половине вы относитесь.